یه سوگیری ناخواسته که ممکنه برای اپلیکیشن‌های اوپن‌سورس پیش بیاد اینه که فایل آمادهٔ یه برنامهٔ معروف متن‌باز رو نصب کنیم و چون می‌دونیم متن‌بازه پس فکر کنیم امنه. در صورتی که اون فایل کامپایل‌شده برای نصب که متن‌باز نیست. اتفاقاً برنامه‌های متن‌باز چون متن‌باز هستن ممکنه راحت‌تر توسط هکرها دست‌کاری بشن. هکر کد اون برنامه رو تغییر می‌ده و از همون خروجی برای نصب می‌گیره و منتشر می‌کنه. از معروف به اوپن‌سورس بودنش هم سوءاستفاده می‌کنه.

- آنتی‌ویروس لایهٔ دفاعی خوبیه. سعی کنید به‌روز نگهشون دارید. ولی اگه فرض کنیم سیستم‌عاملتون آنتی‌ویروس خوبی نداره یا کارهای حساسی دارید و می‌خواید بیشتر خیالتون راحت باشه، راه‌حل‌های دیگه این‌هاست:
- تا جای ممکن سعی کنید اپلیکیشن مد نظرتون رو از منابع اصلی و معتبر دانلود کنید. از اپ استورهای رسمی تا صفحهٔ اصلی خود همون برنامه. اگه مخزن گیت‌هاب داشته باشن، معمولاً فایل نصبی آماده رو در قسمت release همون مخزن هم می‌ذارن. (نکتهٔ بدیهی: اپ استورهای رسمی ایرانی لزوماً معتبر نیستن.)
- هر فایلی یه Hash یا می‌شه گفت «امضای دیجیتال» داره. سازندگان اون برنامه معمولاً هش خاص فایل‌هاشون رو هم در کنارش منتشر می‌کنن. کوچک‌ترین تغییری (حتی یه فاصله) در کد فایل، کل اون هش یکتا رو تغییر می‌ده (اثر آوالانچ). بنابراین اگه می‌خواستید کامل مطمئن باشید که همون فایل رسمی رو دانلود کردید، می‌تونید هش همون فایل رو (بسته به نوع هش) محاسبه کنید و با هش منتشرشده مقایسه کنید.
برای محاسبهٔ هش در اندروید، می‌تونید این اپ رو نصب کنید.
در سیستم‌عامل‌های لینوکسی با دستورهای:
sha1sum [filename.ext]
sha256sum [filename.ext]
sha512sum [filename.ext]
md5sum [filename.ext]
و در ویندوز با برنامهٔ 7zip و قسمت checksums می‌شه هش فایل رو با کلیک‌راست دید. با این حال، با این دستور cmd هم می‌شه:
certutil -hashfile [filename.ext] [TYPE]
(آخرش نوع هش با حروف بزرگ. مثل SHA256)

این موضوع پس مسئولیت‌هایی هم برای جامعهٔ ما (IT) داره:
- موقع انتشار رسمی فایل نصبی هر برنامه‌ای که خودتون نوشتید، هش‌های اون فایل رو هم در کنارش منتشر کنید. حتی اگه اوپن‌سورس نباشه.
- اگه دیدید کسی جایی فایل نصبی ملزوماتی مثل فیلترشکن‌ها رو داره با لینک‌های غیررسمی (مثل آپلودسنترها) منتشر می‌کنه، اگه به اینترنت وصل هستید، سعی کنید دانلودش کنید، با VirusTotal (باتش) بررسیش کنید (با آگاهی به این‌که گاهی false positive داره) و هش اون فایل رو هم با هش معتبرش مقایسه کنید. اگه مشکلی داشت همون‌جا دیگران رو مطلع کنید. در شرایط فعلی، این جزء وظایف ماست.
- متن‌باز بودن لزوماً امنیت کامل و همیشگی نمیاره. جهان هر روز در حال پیشرفته. حتی سیستم‌عامل پارانوییدی FreeBSD هم تا به حال ۲ تا آسیب‌پذیری کنترل از راه دور داشته‌. اما همون شفافیت باعث شده که سریع‌تر کشف و رفع بشه. مسئولیت بازبینی امنیت کدهای برنامه‌های اوپن‌سورس فقط به دوش سازنده‌هاش نیست. هرازگاهی به کد برنامه‌های اوپن‌سورس سر بزنید تا مشکلاتش رو پیدا کنید. هم تجربه می‌شه، هم رزومه، هم کمک.
گرچه در عصر حاضر انتظار می‌ره هوش مصنوعی در حوزهٔ بررسی امنیتی کدها هم وارد بشه.
#privacy
#community_notes